Utilisation non autorisée de logiciels en nuage et responsabilité juridique

Dans quelles situations l'utilisation non autorisée de logiciels cloud se produit-elle ? Ce guide complet examine le partage de comptes, la surcharge d'utilisateurs, le traitement des données, le transfert de données à l'étranger, la triple facturation, les indemnisations et les risques de sanctions dans le cadre de la législation turque (FSEK, TBK et KVKK).

Contrairement aux logiciels de bureau classiques, les logiciels en nuage reposent non seulement sur un fichier d'installation, mais aussi sur des comptes utilisateurs, une durée d'abonnement, une authentification de session, une gestion centralisée et souvent une infrastructure de traitement des données à distance. Par conséquent, la question de l'utilisation non autorisée de logiciels en nuage ne se limite plus au simple piratage. Aujourd'hui, de nombreux litiges découlent du partage de comptes utilisateurs, du dépassement des limites d'utilisation, de l'utilisation hors du cadre de l'abonnement, de la transformation d'un accès d'essai ou de formation en activité commerciale, de l'ouverture de comptes au nom de sociétés du groupe ou de tiers, et du contournement des mécanismes de protection. En droit turc, les programmes informatiques sont protégés en tant qu'œuvres en vertu de la loi n° 5846 relative aux œuvres intellectuelles et artistiques ; cette protection s'applique également à l'architecture du nuage.

Le problème ne se limite pas au seul droit d'auteur. Les entreprises utilisant des logiciels en nuage traitent souvent les données de leurs employés, clients, fournisseurs ou partenaires commerciaux sur les mêmes systèmes. Par conséquent, toute utilisation non autorisée, outre la violation des licences et des droits d'auteur, peut également engendrer des responsabilités distinctes en matière de sécurité des données personnelles, de relation entre le responsable du traitement et le sous-traitant, de transfert de données à l'étranger et de mesures de sécurité techniques et administratives. L'Autorité de protection des données personnelles précise qu'une entreprise fournissant des services en nuage peut agir en tant que sous-traitant dans certains cas et que le responsable du traitement ne peut se soustraire à son obligation de garantir le niveau de sécurité requis.

Pourquoi un logiciel cloud est-il différent d'une relation de licence traditionnelle ?

Dans le modèle de licence classique, les utilisateurs supposaient généralement bénéficier d'une installation locale et d'une autorisation liée à leur appareil pour une version spécifique. Dans le modèle cloud, en revanche, les droits d'utilisation sont souvent liés à un compte et limités dans le temps. La documentation de licence d'entreprise actuelle d'Adobe stipule explicitement que le modèle de licence par utilisateur nommé associe l'utilisation des applications et des services à un utilisateur individuel spécifique, que les licences sont gérées de manière centralisée et que le suivi de la conformité est effectué par l'utilisateur, et non par la machine. La documentation d'assistance actuelle d'Autodesk indique que, pour les abonnements nécessitant une connexion, chaque poste est attribué à un seul « Utilisateur autorisé » et que les postes ne peuvent être partagés. Le contrat de service Microsoft stipule également que les informations de compte ne peuvent être transférées à un autre utilisateur ou une autre entité. Cette structure est à l'origine des violations de licences de logiciels cloud : même en cas d'accès technique, l'autorité légale est limitée en fonction de la personne, de l'organisation, de la durée et de l'étendue.

Cette différence est également importante du point de vue du droit turc. Selon l'article 52 de la loi sur le droit d'auteur, les contrats et transactions relatifs aux droits financiers doivent être établis par écrit, et les droits en question doivent être expressément spécifiés. Autrement dit, le droit d'utiliser un logiciel n'est pas une liberté abstraite et illimitée ; il doit reposer sur une relation juridique écrite et précise. Cette même loi stipule également qu'une licence peut être une licence simple ou une licence complète, que les licences sont considérées comme simples sauf convention contraire, et que le transfert de propriété d'une copie de l'œuvre ne constitue pas un transfert de droits de propriété intellectuelle. Par conséquent, l'accès à un compte utilisateur dans le cadre d'un abonnement à un logiciel en nuage ne confère pas, en soi, de larges droits d'utilisation.

Dans quelles circonstances une utilisation non autorisée de logiciels en nuage se produit-elle ?

L'utilisation non autorisée la plus courante des logiciels cloud consiste à partager des abonnements nominatifs ou monopostes au sein d'une équipe. Bien que l'utilisation d'un même nom d'utilisateur et mot de passe par plusieurs employés d'une même entreprise soit fréquente, elle constitue une violation manifeste des conditions de licence. Le support officiel d'Autodesk précise que, pour les abonnements monopostes, chaque licence doit être attribuée à un seul utilisateur autorisé et ne peut être partagée. Le contrat de service Microsoft stipule également que les informations de compte ne peuvent être transférées à un autre utilisateur ou une autre organisation. Du côté d'Adobe, le modèle d'utilisateur nominatif démontre que la licence est liée à l'utilisateur et que cette structure repose sur un suivi centralisé de la conformité. Par conséquent, l'argument selon lequel « la même équipe l'utilise » ne constitue généralement pas une protection juridique en matière de licences cloud.

Le deuxième type d'infraction courant consiste à dépasser le nombre de licences ou d'utilisateurs achetés. Dans les entreprises en pleine croissance, il est fréquent de commencer par quelques abonnements, puis d'embaucher de nouveaux employés pour travailler sur le même produit, ce qui constitue un dépassement du cadre de la licence. Autodesk, sur sa page d'audit actuelle, distingue la « surutilisation des licences d'abonnement » et la « surutilisation des licences perpétuelles » comme deux catégories distinctes de non-conformité. Cela indique que, du point de vue du fabricant, l'utilisation excessive des licences est une infraction à part entière. En droit turc, l'utilisation plus étendue des droits patrimoniaux reconnus sur un logiciel que celle autorisée ne peut être considérée comme négligeable au seul motif de la commodité technique ; en effet, l'article 68 de la loi turque sur le droit d'auteur (FSEK) prévoit des sanctions financières aggravées en cas de traitement, de reproduction, de distribution, de représentation ou de transmission publique non autorisés.

Une troisième infraction courante consiste à poursuivre l'utilisation commerciale d'un logiciel après l'expiration de l'abonnement. Dans l'écosystème des logiciels en nuage, les utilisateurs présument parfois que l'utilisation est toujours autorisée car le logiciel reste accessible sur leur appareil ou que l'accès aux anciens fichiers est toujours possible. Or, d'un point de vue juridique, ce qui importe n'est pas seulement l'accès technique, mais le droit continu d'utiliser le logiciel. Le modèle d'abonnement, par définition, établit un droit d'utilisation lié à une période déterminée. À l'expiration de cette période, le lien contractuel avec l'entreprise prend fin. Toute utilisation commerciale ultérieure peut donner lieu à un litige pour contrefaçon, en plus d'une rupture de contrat.

Le quatrième point important concerne la conversion des abonnements d'essai, éducatifs, personnels ou grand public en activités commerciales. La documentation d'Autodesk relative à l'accès éducatif stipule clairement que cet accès est exclusivement réservé à l'apprentissage, à l'enseignement et à la recherche, et qu'il est interdit à toute utilisation commerciale ou professionnelle. Au sein de ce même écosystème, il est entendu que les versions d'essai sont destinées à une évaluation limitée dans le temps et ne sont pas conçues pour une utilisation commerciale en production. Par conséquent, le fait pour une entreprise d'utiliser un accès éducatif pour préparer un projet client ou d'intégrer une version d'essai à sa chaîne de production constitue non seulement un choix inapproprié, mais également un modèle d'utilisation qui dépasse les limites autorisées.

Le cinquième type de violation courant est l'utilisation d'un même abonnement par différentes sociétés, sociétés d'un même groupe, sous-traitants ou consultants externes. En pratique, il est fréquent qu'un compte de logiciel cloud enregistré au nom de la société mère soit utilisé par des succursales, des filiales ou des équipes de freelances. Or, la relation de licence est souvent liée à un utilisateur ou une organisation spécifique signataire du contrat. Compte tenu notamment de l'interdiction de transfert de compte chez Microsoft et de la structure d'utilisateurs autorisés d'Autodesk, il est très facile pour un partage de fait entre entreprises de dépasser le cadre de la licence. L'appartenance à un même groupe ne confère pas de pouvoir contractuel.

L'une des formes les plus graves de contrefaçon consiste à contourner les mesures de protection. Continuer à utiliser un logiciel devenu inaccessible suite à l'expiration de son abonnement, notamment par le biais de cracks, de patchs, de fausses activations ou d'autres moyens techniques, constitue bien plus qu'une simple rupture de contrat. La loi n° 7346, et plus précisément son article 72 relatif au droit d'auteur, a instauré un régime de protection étendu pour les produits et outils conçus pour neutraliser les mesures techniques de protection. L'état actuel de la législation de l'OMPI confirme que le régime turc du droit d'auteur a été mis à jour en 2021 ; ces modifications rendent plus visibles les actes visant à contourner les mesures de protection.

L’aspect contractuel de l’utilisation non autorisée de logiciels en nuage

L'utilisation non autorisée de logiciels cloud est souvent perçue comme une rupture de contrat dès les premières étapes. Selon l'article 112 du Code des obligations turc, en cas d'inexécution ou de mauvaise exécution d'une obligation, le débiteur est tenu d'indemniser le créancier du préjudice subi, sauf s'il prouve son innocence. L'article 113, quant à lui, prévoit la réparation des conséquences d'un manquement aux obligations d'exécution ou d'inexécution et, le cas échéant, la cessation de ce manquement. Si le nombre d'utilisateurs, la finalité de l'utilisation, le transfert de compte, le partage de session, les limites organisationnelles et la durée du contrat sont clairement définis dans les contrats d'abonnement cloud, leur violation engage directement la responsabilité du débiteur pour rupture de contrat.

Cette responsabilité contractuelle restreint les possibilités de défense de l'entreprise. En effet, des explications factuelles telles que « le programme fonctionnait » ou « nous l'utilisions en interne » ne constituent pas une justification juridique valable si les limites fixées par le contrat ont été dépassées. De plus, conformément à l'article 116 du Code des obligations turc, même si le débiteur a confié l'exécution de l'obligation ou l'exercice du droit contractuel à un sous-traitant, il demeure responsable du préjudice causé à l'autre partie par ce dernier dans le cadre de ses fonctions. Par conséquent, même si le compte était partagé par un employé, si des données ont été saisies par un ancien employé ou si l'installation a été gérée par une société informatique externe, l'entreprise signataire du contrat de licence reste responsable dans la plupart des cas.

Aspect relatif à la violation du droit d'auteur

L'utilisation non autorisée de logiciels en nuage constitue non seulement une violation de contrat, mais aussi souvent une atteinte au droit d'auteur. La loi turque sur le droit d'auteur protégeant les programmes informatiques en tant qu'œuvres, toute utilisation commerciale plus large de logiciels protégés, au-delà des limites autorisées, soulève la question de l'utilisation non autorisée sans autorisation écrite. Le ministère de la Culture et du Tourisme précise qu'en cas de contrefaçon, des poursuites civiles ou pénales peuvent être engagées et que le traitement, la reproduction, la distribution, la diffusion publique, la publication, ainsi que l'achat, l'importation, l'exportation, la possession (sauf pour un usage personnel) ou le stockage d'œuvres reproduites illégalement à des fins commerciales sont passibles de sanctions. Cette déclaration montre que les logiciels en nuage ne bénéficient pas d'un cadre juridique différent du simple fait de leur localisation dans le nuage ; ils relèvent bien du régime du droit d'auteur.

L'article 68 de la loi turque sur le droit d'auteur constitue l'instrument financier le plus sévère en la matière. En cas de traitement, de reproduction, de distribution, de représentation ou de transmission publique sans autorisation écrite, le titulaire des droits peut exiger jusqu'à trois fois le montant qu'il aurait réclamé en cas de contrat, ou la valeur marchande actuelle. Dans le domaine des logiciels en nuage, le partage par utilisateur nommé, le dépassement du nombre de licences, l'utilisation d'un type de licence inapproprié ou l'utilisation commerciale après expiration peuvent justifier cette indemnisation. Pour les entreprises, cela signifie que le simple rachat d'une licence ultérieurement ne permet pas nécessairement d'éliminer le risque financier lié à la période antérieure.

Les articles 66 et 69 de la loi turque sur le droit d'auteur sont également importants pour lutter contre la contrefaçon et la prévenir. Le titulaire des droits peut exiger la cessation et l'interdiction de l'infraction. Si les logiciels en nuage sont essentiels au fonctionnement quotidien de l'entreprise, la fermeture du compte ou la suspension de l'accès peut avoir des conséquences très graves. Dans le modèle du nuage, l'accès au compte étant aussi précieux que les fichiers installés, les demandes de cessation et de suppression peuvent s'avérer encore plus efficaces pour exercer une pression opérationnelle.

Pourquoi la protection des données et les aspects du RGPD sont-ils particulièrement importants ?

Les logiciels en nuage confèrent souvent non seulement le droit d'utiliser le logiciel, mais aussi l'infrastructure de traitement des données. Par conséquent, toute utilisation sans licence ou non autorisée comporte un risque d'accès illicite aux données personnelles, de consultation par un utilisateur non autorisé ou de transfert inapproprié. Le document « Responsable du traitement et sous-traitant » de la loi turque sur la protection des données personnelles (KVKK) stipule explicitement qu'une entreprise fournissant des services de cloud computing agit, dans certains cas, en tant que « sous-traitant » pour les données traitées pour le compte de ses clients. Cela signifie que l'entreprise qui reçoit le service de logiciel en nuage conserve son statut de responsable du traitement ; elle doit simplement établir correctement sa relation de sous-traitant.

Le Guide de sécurité des données personnelles de la loi turque sur la protection des données (KVKK) stipule également que, conformément à l'article 12 de la loi, le responsable du traitement est tenu de prendre les mesures techniques et administratives nécessaires pour empêcher le traitement illicite et l'accès non autorisé aux données personnelles et pour garantir leur conservation. Ce même guide précise que le responsable du traitement doit identifier les risques et les menaces, sensibiliser ses employés, gérer les relations avec les sous-traitants et évaluer les mesures de sécurité adéquates pour les données personnelles stockées dans le cloud. Le guide insiste particulièrement sur des mesures telles que l'authentification à deux facteurs, les journaux d'accès, la gestion des comptes utilisateurs, la sécurité du réseau, les journaux d'activité et les sauvegardes des données stockées dans le cloud. Ces recommandations démontrent que le partage de comptes ou l'accès non autorisé à un logiciel cloud constitue non seulement un problème de licence, mais aussi un problème de sécurité des données.

Si l'infrastructure logicielle en nuage repose sur des serveurs situés à l'étranger, le transfert de données personnelles à l'étranger pose également problème. La page « Transfert à l'étranger » de la loi KVKK (Loi sur la protection des données personnelles) indique qu'après les modifications de 2024, les contrats types et les règles d'entreprise contraignantes sont prévus comme des méthodes de protection appropriées ; et que la signature de contrats types publiés par l'Autorité de protection des données peut autoriser le transfert de données sans autorisation supplémentaire. Le guide explique également que les contrats types peuvent être utilisés avec des modifications limitées, conformément aux textes publiés par l'Autorité. Par conséquent, quelle que soit la fluidité des relations de licence d'une entreprise utilisant un logiciel en nuage, un risque spécifique lié à la loi KVKK peut survenir si aucun mécanisme de transfert approprié n'est mis en place dans les environnements en nuage contenant des données personnelles.

Pourquoi les logiciels en nuage sont-ils plus sensibles en matière de preuves et de justificatifs ?

Dans les litiges relatifs aux logiciels cloud, les preuves sont souvent plus centralisées et traçables que pour les logiciels de bureau traditionnels. En effet, l'utilisation est généralement gérée via les comptes utilisateurs, la durée des sessions, les attributions de licences, les profils de produits, l'historique d'accès et un panneau d'administration. Adobe Admin Console indique officiellement proposer un panneau centralisé pour la gestion des licences, des utilisateurs et des paiements, et que les licences nominatives facilitent le suivi centralisé de la conformité. Autodesk précise également que, dans les abonnements monoposte, chaque poste est attribué à un seul utilisateur autorisé. Cette structure rend techniquement plus difficile pour l'entreprise de dissimuler une utilisation non autorisée.

En droit turc, cette visibilité technique, combinée à l'article 76 de la loi sur le droit d'auteur, impose une charge de la preuve importante. Lorsque le titulaire des droits fournit des preuves initiales suffisantes, l'entreprise utilisatrice peut être tenue de fournir les autorisations et documents nécessaires, ou une liste des œuvres utilisées ; à défaut, une présomption d'utilisation non autorisée est présumée. Pour les entreprises utilisant des logiciels en nuage, la conservation des enregistrements des panneaux de licences, des attributions d'utilisateurs, des factures d'abonnement et de l'historique d'accès devient ainsi cruciale. Affirmer simplement « nous étions bien en possession d'une licence » ne suffit pas ; cela doit être démontré par des données relatives aux comptes, aux utilisateurs et aux contrats.

Quelles sont les implications pratiques des logiciels en nuage pour les entreprises ?

En pratique, le principal risque réside dans l'idée reçue que les logiciels en nuage impliquent « l'absence de copie physique, donc l'absence de contrefaçon classique ». Or, le modèle du nuage rend souvent les infractions plus visibles, et non moins. Les utilisateurs non autorisés, les comptes partagés, les licences supplémentaires, le transfert d'une version éducative vers un projet commercial, le maintien en service d'abonnements expirés ou le partage au sein d'une même entreprise peuvent laisser des traces plus facilement dans les systèmes centralisés. Cela permet au titulaire des droits d'établir plus aisément ses droits, tant contractuels que fondés sur le droit d'auteur.

La responsabilité première des entreprises dans ce domaine ne se limite pas à l'achat de logiciels, mais consiste à surveiller en permanence la concordance entre les utilisateurs, les licences, les comptes, le temps d'utilisation et les organisations. De plus, des accords de traitement des données, des mesures techniques et administratives, l'authentification à deux facteurs, des journaux d'accès et, le cas échéant, des mécanismes de transfert de données à l'étranger doivent être mis en place pour les systèmes cloud contenant des données personnelles. À défaut, les violations de licence et les infractions au RGPD pourraient être combinées. À l'ère du cloud, la responsabilité juridique porte moins sur « qui a installé le logiciel ? » que sur « qui a accédé à quelles données, avec quels droits et dans quelle mesure ? ».

Conclusion

L'utilisation non autorisée de logiciels en nuage relève d'un domaine juridique plus vaste et complexe que la notion classique de piratage de logiciels. Le partage de comptes, le dépassement des limites d'utilisation, le maintien d'abonnements expirés, la conversion d'accès d'essai ou éducatifs à un usage commercial, l'ouverture de comptes auprès de différentes entreprises ou de tiers, et le contournement des mesures de protection constituent les principales formes d'infraction. En droit turc, les programmes informatiques sont protégés en tant qu'œuvres ; par conséquent, l'utilisation non autorisée de logiciels en nuage peut constituer à la fois une rupture de contrat et une contrefaçon. De plus, la relation entre le responsable du traitement et le sous-traitant, les mesures techniques et administratives, ainsi que la réglementation relative aux transferts internationaux de données dans les environnements en nuage où des données personnelles sont traitées créent des domaines de responsabilité distincts.

L'approche la plus sûre consiste à gérer les logiciels cloud non pas en se basant uniquement sur l'achat d'un abonnement, mais en privilégiant la gouvernance des utilisateurs et des données. Si une entreprise ne gère pas conjointement sa feuille de route des licences, l'attribution des utilisateurs, le périmètre des contrats et les mesures de sécurité des données, elle s'expose souvent à des risques juridiques. Dans l'écosystème cloud, la légitimité ne se mesure pas uniquement à l'accès ; il s'agit de garantir que cet accès est accordé par la bonne personne, pour le bon usage, pour la durée appropriée et dans le cadre contractuel adéquat.

Foire aux questions

Le partage d'un compte de logiciel cloud au sein d'une même équipe constitue-t-il réellement une violation ?
Les conditions générales de nombreux fournisseurs précisent que les licences monoposte ou nominatives sont personnelles et que leur partage est interdit. Par conséquent, le partage de mots de passe au sein d'une équipe constitue souvent une violation de la licence.

Mon abonnement a expiré, mais si le programme reste accessible, puis-je continuer à l'utiliser ?
Le maintien de l'accès technique n'implique pas automatiquement la prolongation du droit contractuel d'utilisation du service. Dans un modèle d'abonnement, l'élément essentiel est la validité des droits qui y sont associés.

Si le fournisseur de services cloud est le sous-traitant, la responsabilité de l'entreprise au titre du RGPD (Règlement général sur la protection des données) prend-elle fin ?
Non. Conformément aux directives et explications du RGPD, le responsable du traitement est tenu de s'assurer que le sous-traitant prend les mesures techniques et administratives nécessaires.

Quelles sont les exigences pour le transfert de données vers un serveur cloud à l'étranger ?
Conformément au RGPD, les contrats types et les règles d'entreprise contraignantes constituent des garanties appropriées. L'utilisation des contrats types annoncés par le Conseil peut permettre le transfert de données sans autorisation supplémentaire.

Une entreprise peut-elle être tenue responsable si un employé ou une société informatique externe a fait un usage abusif du système ?
Oui. L’article 116 du Code des obligations turc régit la responsabilité du personnel auxiliaire ; de plus, en vertu de l’article 66 de la loi turque sur le droit d’auteur, une action en justice peut être intentée contre le chef d’entreprise pour les infractions commises par ses employés dans l’exercice de leurs fonctions.